Implantaat in Ledger wakkert zorgen aan over de toeleveringsketen van hardware wallets

Het beveiligingsteam Donjon van Ledger heeft een kwaadaardige implantaat ontdekt in een hardwarewallet die werd verkocht door de Zuidoost-Aziatische wederverkoper CryptoBilis. Tijdens de installatie kan het implantaat de herstelzin van 24 woorden van het apparaat vastleggen en die via LTE versturen met behulp van een vooraf geconfigureerde eSIM, waardoor het geld in de wallet gevaar loopt. Ledger heeft bevestigd dat één apparaat is getroffen en zegt dat de tot nu toe geverifieerde verliezen betrekking hebben op wallets die door CryptoBilis zijn verkocht. CryptoBilis is gestopt met de verkoop van Ledger-apparaten zolang het onderzoek loopt. Onchain-onderzoeker Specter bracht meer dan 86 miljoen dollar aan vermoedelijke diefstallen in verband met Bitcoin, Ethereum en Tron, maar Ledger zegt dat de online ramingen van de verliezen nog niet zijn geverifieerd. Ledger adviseert kopers verdachte apparaten niet in te stellen en roept iedereen die zo’n apparaat heeft gebruikt op om het geld over te zetten naar een nieuw apparaat met een nieuwe herstelzin. Het incident met de hardwarewallet heeft ook bredere zorgen over de toeleveringsketen aangewakkerd. Beveiligingsonderzoeker Joe Grand waarschuwde dat geavanceerde fysieke manipulatie moeilijk te detecteren kan zijn. Trezor zei dat authenticiteitscontroles en ondertekende firmware helpen, maar aanpassingen niet kunnen uitsluiten, en is van plan zijn netwerk van wederverkopers te verkleinen. Experts adviseerden het vertrouwen over meerdere aanbieders te spreiden en ontwerpen beter bestand te maken tegen manipulatie, maar benadrukten dat geen enkele maatregel alle risico’s wegneemt. Ledger zegt dat het implantaat het Secure Element, het besturingssysteem en de transactiesignaturen niet heeft gewijzigd. Het incident benadrukt de beveiligingsrisico’s van hardwarewallets en herstelzinnen, maar wijst niet op een breder probleem met het Bitcoin-netwerk.